CVE-2026-82644

WWBN AVideo (güncel e01e41ecc ve öncesi), login.json.php ve diğer 13 uç noktayı koruyan enforceRateLimit() fonksiyonunda bir kaba kuvvet hız sınırlama atlatma açığı içermektedir. Fonksiyon, deneme sayacını, isBot() tarafından bot olarak tanımlanan herhangi bir istemci için yazma işlemlerini sessizce reddeden bir önbellek katmanı (ObjectYPT::setCacheGlobal) aracılığıyla saklar. isBot() fonksiyonu, eksik User-Agent başlığını varsayılan olarak bot olarak kabul ettiği ve ayrıca 'curl', 'bot', 'crawler' ve 'spider' gibi yaygın bot tanımlayıcılarıyla eşleştiği için, bu tür istemciler için sayaç asla artmaz ve böylece hız sınırı hiçbir zaman devreye girmez. Bu nedenle, kimliği doğrulanmamış bir saldırgan (örneğin User-Agent başlığını boş bırakarak veya curl'ün varsayılan User-Agent değerini kullanarak) sınırsız giriş denemesi gönderebilir ve bu durum kısıtlamasız parola tahmin saldırılarına olanak tanır.